Security-Trends 2026: 3 Learnings aus der Praxis

Der Kontrollverlust beginnt harmlos

Ein neues KI-Tool im Team? Klingt nach einer überschaubaren Entscheidung. Bis daraus Zugriff auf ein Dutzend interne Systeme wird, ein Prototyp, der über Nacht produktiv geht, und eine Shadow-IT, die niemand mehr vollständig überblickt. Das eigentliche Problem ist längst nicht mehr die Technologie selbst. Es ist die Geschwindigkeit, mit der sie eingeführt, verändert und wieder ersetzt wird. Während IT-Teams noch die Risiken der letzten Anwendung bewerten, hat sich das nächste Tool schon durchgesetzt.

Zum Halbjahreswechsel ziehen wir Bilanz: Welche Security-Trends beobachten wir 2026 tatsächlich in Kundenprojekten, und was sollten Unternehmen jetzt priorisieren? Im April 2026 zeigte Anthropics Modell Claude Mythos, wozu KI-gestützte Schwachstellensuche mittlerweile fähig ist: Innerhalb weniger Wochen internen Testens identifizierte das Modell tausende hoch- und kritisch eingestufte Schwachstellen in gängigen Betriebssystemen und Browsern, darunter eine 27 Jahre alte Lücke in OpenBSD. Die US-Notenbank und das Finanzministerium beriefen daraufhin Bank-CEOs zu einem Krisengespräch ein.

Aus unserer Projekterfahrung bei carmasec ziehen wir daraus drei Lektionen für das zweite Halbjahr 2026, nicht als Zusammenfassung fremder Quellen, sondern als Einordnung dessen, was wir bei unseren Kunden tatsächlich sehen.

Kurz zusammengefasst

• KI erhöht das Tempo von IT-Veränderungen schneller, als Unternehmen ihre Steuerung nachziehen können. Daraus entstehen neue Risiken.
• Nicht Zero-Days, sondern klassische Basics wie Patch Management bleiben das Hauptangriffsziel, nur mit deutlich kürzerem Reaktionsfenster.
• Wer Sicherheitsstandards in die Spezifikationen einbettet, mit denen KI-Agenten arbeiten, gewinnt Tempo und Sicherheit zugleich.
• Konkrete Empfehlung: Cyber Resilience – von Governance bis technische Wirksamkeit.

Learning 1: Unreife KI-Adoption erzeugt Schwachstellen

Die Geschwindigkeit von IT-Veränderungen steigt schneller, als Unternehmen ihre Steuerung dafür ausbauen können.

Es ist bewundernswert, was motivierte Teams in unserem Kundenumfeld mit KI-Unterstützung inzwischen auf die Beine stellen. Prototypen entstehen in Stunden statt Wochen, Entwickler wechseln im Handumdrehen zwischen Bibliotheken und Versionen, neue Technologien werden dank Chatsystemen in Minuten lauffähig konfiguriert. Sogar die Unantastbarkeit altgedienter Legacy-Systeme wird herausgefordert, von einem Prototypen, der an einem Nachmittag entstanden ist.

Das Potenzial ist enorm!

Wir sehen eine Geschwindigkeit von Veränderungen innerhalb lange gewachsener IT-Umgebungen, wie wir sie zuvor nicht kannten. Mit ihr steigt aber auch die Geschwindigkeit der wachsenden Risiken. Der Drang, die nächste Disruption zu finden und noch schneller noch mehr funktionale Anforderungen umzusetzen, ist groß. Die nicht-funktionalen Anforderungen, allen voran Security, bleiben dabei regelmäßig auf der Strecke. Zur ohnehin schwer zu zügelnden Shadow-IT gesellt sich damit eine offizielle IT, die selbst kaum leichter zu verwalten ist. KI beschleunigt das Tempo der Veränderung, scheitert aber daran, das Tempo der Verwaltung auch nur ansatzweise im gleichen Maß zu erhöhen.

Konsequenz: Es entstehen dieselben IT-Risiken wie vor dem KI-Boom, nur in deutlich höherem Tempo und größerem Umfang, weil Verwaltung und Kontrolle nicht mitwachsen.

Unsere Empfehlung: Governance-Leitplanken für den KI-Einsatz einführen, bevor Prototypen produktiv gehen: klare Freigabeprozesse, ein aktuelles Inventar aller KI-gestützt eingeführten Systeme und regelmäßige Assessments.

Learning 2: Security-Basics bleiben das Kernproblem, nur mit weniger Zeit

Nicht neuartige Zero-Days sind das Hauptrisiko unserer Kunden, sondern bekannte Schwachstellen und Fehlkonfigurationen, während das Zeitfenster zur Reaktion spürbar schrumpft.

Im April 2026 wurden erste Details über Anthropics Modell Claude Mythos bekannt, und getreu dem eigenen Namen verbreiteten sich rasch Wahrheiten, Halbwahrheiten und auch handfeste Mythen darüber. Das Modell habe die sichersten Betriebssysteme durchleuchtet und dabei Schwachstellen nicht nur aufgespürt, sondern eigenständig ausgenutzt. Eine so grundlegende Bedrohung für die IT-Sicherheit, hieß es, dass Notenbank und Finanzministerium eigens Bank-CEOs zum Krisengespräch luden.

Was wir in unseren eigenen Projekten feststellen, sind aber nicht die Angriffe durch spektakuläre Zero-Day-Schwachstellen. Was wir feststellen, sind Angriffe, die gezielt nach schwachen Konfigurationen und nicht gepatchten, längst bekannten Schwachstellen suchen. Es sind weiterhin die Basics, die im Ziel der Angreifenden liegen, nur ist die Wichtigkeit dieser Grundlagen deutlich gestiegen. Patch-Prozesse müssen heute innerhalb von Stunden statt Wochen reagieren, um das Ausnutzen verwundbarer Komponenten zu verhindern.

Die gute Nachricht: Gerade diese Grundlagen lassen sich in der Zusammenarbeit zwischen fähigen Fachkräften und moderner KI heute besser umsetzen als je zuvor. Auch ohne spezifische KI-Sicherheitspakete lässt sich oft schnell eine erste Einschätzung erzeugen. Setzen die vergebenen Berechtigungen Least-Privilege korrekt um? Ist der Mechanismus zur Speicherung von Zugangsdaten angemessen? Entspricht unsere Umsetzung gängigen Best Practices? Genau diese Zusammenarbeit bestärkt IT-Teams darin, schneller auf Missstände zu reagieren.

Konsequenz: Patch Management, Systemhärtung und starke Erkennungsmechanismen bleiben 2026 die wirksamsten Grundlagen für ein sicheres Unternehmen. Die konsequente, schnelle Umsetzung entscheidet zunehmend über das Risiko.

Unsere Empfehlung: Patch- und Härtungsprozesse auf Stunden statt Wochen trimmen und KI gezielt für die tägliche Kontrolle der Basics einsetzen.

Learning 3: KI + Standards = sichere Umsetzung

Werden Sicherheitsstandards explizit Teil der Spezifikation, aus der KI-Agenten Code erzeugen, steigt die Sicherheit trotz höherer Geschwindigkeit.

Der Grundgedanke ist nicht neu. Bereits 2004 veröffentlichten Jonathan S. Ostroff und Kollegen das Konferenzpapier Agile Specification-Driven Development. Die Idee brach mit dem damals gängigen Verständnis agiler Softwareentwicklung und schlug einen stärkeren Fokus auf Spezifikationen vor. Sie blieb zunächst eine Fußnote der Konferenz, auf der sie vorgestellt wurde.

Seit 2016 prägt Sam Hatoum den Begriff Spec-Driven Development. Sein Manifest ist eindeutig: Spezifikationen seien das wichtigste Artefakt der Softwareentwicklung. Die Resonanz blieb über Jahre nahe null. Erst mit dem Aufkommen KI-gestützter Coding-Agenten 2025/2026 hat der Ansatz breite Zustimmung gefunden. Heute stößt das Thema, ob bei IBM oder heise, auf massive Nachfrage.

Was sich verändert hat, ist die Zusammenarbeit zwischen Entwicklung und KI-Agenten. Eine Erkenntnis aus der Praxis: KI-Agenten fällt es sehr schwer, Zusammenhänge und Anforderungen zu erschließen, die nicht explizit benannt werden. Produktiv wird der Einsatz von KI-Agenten erst, wenn Anforderungen und Rahmenbedingungen klar spezifiziert sind. Spezifikationsdateien erfüllen genau diesen Bedarf. Wir sehen darin eine Rückkehr zu Lasten- und Pflichtenheften und dem Wasserfall-Modell, mit einem entscheidenden Unterschied: Der Geschwindigkeitsgewinn durch KI erlaubt es, diesen Zyklus mehrmals am Tag zu durchlaufen statt einmalig im Projektverlauf.

Unternehmen, die ihre internen Sicherheitsstandards in diese Spezifikationen aufnehmen, stellen nach unserer Erfahrung trotz höherer Geschwindigkeit eine höhere Sicherheit fest. KI-Systeme erzeugen erkennbar sicherere Konfigurationen und Software, wenn interne Standards Teil der Spezifikation sind, aus der sie entwickeln.

Konsequenz: Als Resultat erleben wir bei unseren Kunden mehr Vertrauen in die eigene Sicherheit und mehr Mut für Innovation.

Unsere Empfehlung: Sicherheitsanforderungen nicht nachgelagert prüfen, sondern von Anfang an in die Spezifikationen für KI-gestützte Entwicklung aufnehmen.

Fazit: KI verändert die Informationssicherheit 2026 nicht durch neue Angriffsarten, sondern durch Tempo

Schnellere Einführung neuer Technologien, kürzere Reaktionsfenster bei bekannten Schwachstellen und neue Möglichkeiten, Sicherheitsstandards direkt in die Entwicklung einzubetten. Wer diese drei Learnings ernst nimmt, priorisiert jetzt: Governance-Leitplanken für den KI-Einsatz, konsequentes Patch- und Härtungsmanagement, und Sicherheitsstandards fest in den Spezifikationen für KI-Agenten.

Wir unterstützen gerne dabei, diese Chancen zu nutzen, ohne unkontrollierte Risiken einzugehen.